Android TV box güvenli mi sorusu, son haftalarda Türkiye'de de en çok sorulan teknoloji sorularından biri oldu. Sosyal medyada "temiz" ve "riskli" modelleri sıralayan listeler hızla yayılıyor. Ancak bu listelerin çoğu kaynak göstermiyor ve bazı modelleri yanlış tarafa koyuyor.
Bu rehberde yalnız güvenilir kaynaklarla doğrulanan bulguları derledik: Google'ın 3 Kasım 2026'da açıkladığı XCPE arka kapısı, FBI'ın uyardığı BadBox 2.0 operasyonu ve bir TV box'ın güvenli olup olmadığını kendi evinizde nasıl kontrol edebileceğiniz. Ayrıca elinizdeki kutu riskliyse ne yapmanız gerektiğini de adım adım anlattık.
Google 1,3 milyon TV box'ta arka kapı buldu
Google, 3 Kasım 2026'da yayımladığı raporda 1,3 milyondan fazla Android TV kutusunda XCPE adlı bir arka kapı tespit ettiğini açıkladı. Google'a göre arka kapı, kutuların üreticisi Videostrong tarafından cihaz yazılımına bilerek yerleştirildi. Videostrong, Türkiye'de de satılan Mecool markalı kutuların üreticisi.
Arka kapıyı ilk fark eden güvenlik firması Synthient, zararlı kodu satın aldığı bir Mecool KM9 Pro Max kutusunda kutudan çıktığı gibi buldu. Arka kapı sistem yetkisiyle çalışıyor, Google Play Protect'i kapatıyor ve kullanıcıya sormadan uygulama kuruyor. Ele geçirilen kutuların çoğu, evinizin internet bağlantısını başkalarının trafiği için kullanan "konut proxy" ağlarına bağlanıyor. Google'ın dağılım haritasında Türkiye de yer alıyor, ancak Türkiye'deki cihaz sayısı açıklanmadı. Gelişmenin ayrıntılarını Android TV kutularındaki arka kapı kapatıldı haberimizde anlatmıştık.
Google, Videostrong'un sertifikalı Android cihaz üretme lisansını iptal etti ve botneti yöneten sunucuları kapattı. Yine de kutuların içindeki kod yerinde duruyor. Fabrika ayarlarına sıfırlamak işe yaramıyor, çünkü arka kapı yeniden başlatmada kendini tekrar kuruyor.
BadBox 2.0: FBI'ın uyardığı operasyon
FBI, Haziran 2025'te BadBox 2.0 adlı operasyon için ayrı bir uyarı yayımlamıştı. Güvenlik firması HUMAN'ın araştırmasına göre 1 milyondan fazla cihaz, 222 ülke ve bölgeden bu ağa bağlıydı. Etkilenen cihazların büyük kısmı markasız ya da az bilinen, Google sertifikası olmayan TV box'lar, tabletler ve projektörlerdi.
Google'ın BadBox 2.0 operatörlerine açtığı davada etkilenen modeller arasında X88 Pro 10, T95, MXQ Pro ve QPLOVE Q9 adları geçiyor. Sosyal medyadaki bazı listelerde "temiz" diye gösterilen X88 Pro ailesinin bu davada adının geçmesi, kaynaksız listelere neden güvenilmemesi gerektiğini de gösteriyor.
Sosyal medyadaki "temiz" ve "riskli" listeleri ne kadar doğru?
Paylaşılan listelerin çoğu hangi testle hazırlandığını söylemiyor. Synthient bile kendi bulduğu 182 model adı için, bir model adının tek başına cihazın zararlı yazılım taşıdığını kanıtlamadığını vurguluyor. Aynı ada sahip kutular farklı fabrikalardan ve farklı yazılımlarla çıkabiliyor.
Bu nedenle bir kutunun güvenli olup olmadığına model listesine bakarak değil, aşağıdaki somut kontrollerle karar vermek daha doğru. Listede adı geçmeyen bir kutu da riskli olabilir, listede "riskli" görünen bir modelin farklı bir sürümü de temiz çıkabilir.
Android TV box'ın güvenli olup olmadığı nasıl anlaşılır?
En hızlı kontrol, Google Play Store içinden yapılıyor. Kutunuzda Play Store'u açın, profil simgesine ya da Ayarlar'a girin ve Hakkında bölümüne bakın. "Play Protect sertifikası" satırında "Cihaz sertifikalı" yazıyorsa kutu Google'ın uyumluluk testlerinden geçmiş demektir. "Sertifikasız" yazıyorsa ya da Play Store hiç yoksa dikkatli olmanız gerekir.
Google, XCPE olayında bazı sertifikalı kutuların da etkilendiğini kabul etti; zararlı kod cihaz ilk açıldıktan sonra devreye giriyordu. Bu yüzden sertifika tek başına yeterli değil. Şu işaretlere de bakın:
Kutuda "kullanılmayan internetinizi paylaşın, para kazanın" türünden uygulamalar varsa hemen kaldırın.
Kurmadığınız uygulamalar kendiliğinden beliriyorsa ya da Play Protect kapalı geliyorsa kutu risklidir.
Modem arayüzünde kutunun siz kullanmazken bile yoğun veri gönderip göndermediğine bakın.
Netflix, Disney+ ve YouTube gibi uygulamaların resmî sürümü yoksa kutu büyük olasılıkla sertifikasızdır.
Elinizdeki kutu riskliyse ne yapmalısınız?
Riskli olduğunu düşündüğünüz bir kutuyu önce internetten ayırın. Fabrika ayarlarına sıfırlama XCPE ve BadBox türü arka kapıları silmiyor, çünkü kod yazılımın değiştirilemeyen bölümünde duruyor. Synthient ve Google'ın önerisi, bu kutuları tamamen kullanımdan kaldırmak.
Kutuyu kullanmaya devam etmek zorundaysanız yalnız üreticinin resmî ve temiz yazılımını yükleyin, bilinmeyen uygulama mağazalarını kaldırın ve kutuyu ev ağınızdaki bilgisayarlardan ayrı bir misafir ağına bağlayın. Kutuda kullandığınız hesapların şifrelerini de değiştirin.
Güvenli TV box seçerken nelere dikkat etmeli?
Google, olayın ardından kullanıcılara yalnız tanınmış üreticilerin cihazlarını almalarını ve android.com/certified/partners adresindeki sertifikalı ortak listesine bakmalarını öneriyor. Xiaomi, Google, Nokia, onn, Homatics ve Thomson gibi markaların Google TV ya da Android TV sertifikasıyla satılan modelleri bu açıdan daha güvenli bir başlangıç noktası. Satın almadan önce yine de kutunun Play Protect sertifikasını kontrol etmenizi öneririz.
Fiyat da önemli bir işaret. Aynı özellikleri çok daha ucuza sunan markasız kutularda maliyet çoğu zaman yazılıma yansıyor. Güncel önerilerimiz için en iyi Android TV box modelleri rehberimize de göz atabilirsiniz.
Sıkça sorulan sorular
Fabrika ayarlarına sıfırlamak arka kapıyı siler mi?
Hayır. XCPE ve BadBox 2.0 arka kapıları yazılımın sistem bölümüne gömülü olduğu için sıfırlamadan sonra kendini yeniden kuruyor. Kalıcı çözüm, temiz resmî yazılım yüklemek ya da kutuyu değiştirmek.
Google sertifikalı bir kutu tamamen güvenli midir?
Sertifika riski büyük ölçüde azaltıyor ama sıfırlamıyor. XCPE olayında bazı sertifikalı kutular da etkilendi. Google bu nedenle sertifika sürecini ve yazılım bütünlüğü kontrollerini sıkılaştırdığını açıkladı.
Mecool kutum varsa ne yapmalıyım?
Google, Mecool markasının üreticisi Videostrong'un lisansını iptal etti. Kutunuzun yazılımına üreticiden güvenli bir güncelleme gelmediyse, en güvenli yol kutuyu internetten ayırıp değiştirmek.
TV box'ım ev ağımı nasıl riske atar?
Ele geçirilen kutu, internet bağlantınızı başkalarının trafiği için kullanabilir, reklam dolandırıcılığına katılabilir ve aynı ağdaki diğer cihazlara saldırı için bir giriş noktası olabilir. Yasa dışı trafik sizin IP adresinizden çıkmış gibi görünebilir.
